这是令牌认证的更好方法。 JWT或其他任何方法

Question

我在我的网站上使用JWT身份验证来获取登录数据。看起来我们可以在没有密钥的情况下解码JWT令牌。请尝试以下网站。真让我震惊因此，除了JWT令牌认证之外，还有没有其他更好的令牌认证方法。

http://calebb.net/

您可以尝试使用任何键。来自站点https://medium.com/@siddharthac6/json-web-token-jwt-the-right-way-of-implementing-with-node-js-65b8915d550e

的示例

令牌：eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJkYXRhMSI6IkRhdGEgMSIsImRhdGEyIjoiRGF0YSAyIiwiZGF0YTMiOiJEYXRhIDMiLCJkYXRhNCI6IkRhdGEgNCIsImlhdCI6MTUyNTE5MzM3NywiZXhwIjoxNTI1MjM2NTc3LCJhdWQiOiJodHRwOi8vbXlzb2Z0Y29ycC5pbiIsImlzcyI6Ik15c29mdCBjb3JwIiwic3ViIjoic29tZUB1c2VyLmNvbSJ9.ID2fn6t0tcoXeTgkG2AivnG1skctbCAyY8M1ZF38kFvUJozRWSbdVc7FLwot-bwV8k1imV8o0fqdv5sVY0Yzmg

Answer 1

您提供的令牌是JWS，即已签名令牌。与其他任何经过数字签名的数据一样，可以读取有效载荷。

我认为混淆来自您提到的写在 <a href="www.domain.com/form.php?package=standard" class="btn btn-primary" target="_blank">Im a button</a> 上的文章，而对于JWS，该算法是一种签名算法。

希望用户评论了services.ConfigureApplicationCookie(opt => { opt.Cookie.Name = "Unique Value Per App"; }); 。

其他SO用户指出this question和this other one非常相似。

• 通常令牌是刚刚签名的（JWS）
• 令牌也可以加密（JWE）或签名然后加密（nested tokens）

通过适当的方式（仅会话存储，HTTPS通道，Httponly +受保护的cookie），即使可以读取内容，JWS也可以得到完全的保护。